GitLab CI中使用CI令牌安装私有Python包失败求助

以下是针对问题的可行排查和解决步骤：

• 检查CI_JOB_TOKEN的读取权限
  虽然你能通过CI_JOB_TOKEN推送包（需要write_package_registry权限），但安装包需要read_package_registry权限。如果包所在项目和执行CI的项目是同一个，默认CI_JOB_TOKEN会包含该权限；如果是跨项目安装，需要在包所在项目的Settings > CI/CD > Job token access中，将执行CI的来源项目添加到"Allowed projects"列表，允许其job token访问当前项目的包注册表。

• 验证CI_JOB_TOKEN的有效性与URL格式
  在CI job中先添加调试步骤，确认变量是否正确解析：

  echo ${CI_JOB_TOKEN}
  echo "Index URL: https://gitlab-ci-token:${CI_JOB_TOKEN}@gitlab.com/api/v4/projects/<你的项目ID>/packages/pypi/simple"
  

  确保项目ID准确无误，URL路径没有拼写错误（注意是项目ID而非项目路径）。

• 升级pip版本
  旧版pip对GitLab PyPI注册表的认证逻辑可能存在兼容问题，先升级pip再执行安装：

  pip install --upgrade pip
  pip install pipelinewriter --index-url https://gitlab-ci-token:${CI_JOB_TOKEN}@gitlab.com/api/v4/projects/<你的项目ID>/packages/pypi/simple
  

• 使用pip配置文件替代命令行参数
  在CI中生成pip配置文件，避免命令行参数的解析问题：

  mkdir -p ~/.config/pip
  cat > ~/.config/pip/pip.conf << EOF
  [global]
  index-url = https://gitlab-ci-token:${CI_JOB_TOKEN}@gitlab.com/api/v4/projects/<你的项目ID>/packages/pypi/simple
  EOF
  pip install pipelinewriter
  

• 测试CI_JOB_TOKEN的包访问能力
  执行搜索命令确认token能否读取包列表：

  pip search --index https://gitlab-ci-token:${CI_JOB_TOKEN}@gitlab.com/api/v4/projects/<你的项目ID>/packages/pypi/simple pipelinewriter
  

  如果能搜到包，说明权限没问题，问题可能出在安装命令的其他环节；如果搜不到，回到权限配置步骤排查。

内容的提问来源于stack exchange，提问作者DSteman